TTP

🛡️ Contexte Source : srgssr.ch — Communiqué officiel publié le 28 septembre 2026. La SRG SSR (Société suisse de radiodiffusion et télévision) annonce avoir été victime d’un incident de cybersécurité affectant des données personnelles de collaborateurs de sa filiale SRF (Schweizer Radio und Fernsehen). 🔍 Déroulement de l’incident Des personnes non autorisées ont accédé à des données d’employés de SRF. Dès la détection de l’incident, la SRG a réagi en : ...

📌 Contexte : Le 29 septembre 2026, Microsoft Threat Intelligence publie une analyse technique détaillée de l’évolution des tactiques de Star Blizzard, acteur étatique russe affilié au FSB Centre 18, depuis janvier 2026. 🎯 Ciblage : Les campagnes RedFlick ont visé plus de 100 organisations principalement aux États-Unis et au Royaume-Uni, incluant des individus et institutions ukrainiens, des ONG internationales, des think tanks, des gouvernements, des institutions financières et des organisations diplomatiques soutenant l’Ukraine. ...

🏛️ Contexte L’ANSSI a publié le 23 septembre 2026 un rapport d’incident public (N° 3033/ANSSI/SDO/NP, 20 pages) relatif aux cyberattaques ayant touché la Direction générale des Finances publiques (DGFIP) entre mai et août 2026. Ce document retrace la chronologie des événements, les défaillances identifiées et les mesures de remédiation. 🎯 Acteur et revendication Le 12 août 2026, l’acteur Zerobytes revendique sur un forum en ligne le vol de données issues de la plateforme impots.gouv.fr. Le lendemain, il publie le détail des données volées concernant 353 000 particuliers et 252 000 professionnels, extraites d’un outil de gestion de la relation usagers (application E-Contact). Une seconde revendication porte sur les données cadastrales du SPDC, avec 2 millions de Français potentiellement concernés. ...

📰 Source : KrebsOnSecurity | Date : 28 septembre 2026 Les autorités néerlandaises ont arrêté le 16 septembre 2026 Pepijn van der Stap (24 ans), alias Umbreon, originaire d’Almere et Lelystad, soupçonné d’avoir participé aux activités du groupe cybercriminel ShinyHunters. Van der Stap avait déjà été condamné en 2023 pour des vols de données et extorsions ayant rapporté entre 1,5 et 2,7 millions d’euros, et avait été libéré en décembre 2025. Il était employé comme responsable de la sécurité offensive chez Neo Security au moment de son arrestation. ...

🌐 Contexte Publié le 17 septembre 2026 par l’équipe Chainalysis, cet article de recherche documente l’émergence et la prolifération des Blockchain Dead Drops (BDD), une technique permettant à des acteurs malveillants de stocker des instructions de malware ou des configurations C2 sur des blockchains publiques, rendant ces infrastructures quasi impossibles à démanteler. 📈 Tendances et chiffres clés Les écriture malveillantes sur blockchain ont augmenté de 440% depuis l’émergence de LLMs open-source chinois sans restrictions sur la génération de code malveillant Passage de 2,06 écritures/jour à 11,1 écritures/jour Hausse de 420% sur les 12 derniers mois En Q2 2026, les groupes liés à des États représentent deux tiers des nouvelles activités BDD par trimestre Activité tracée sur 5 blockchains majeures et plus d’une douzaine de souches malware 🕰️ Historique des BDD 2013 : Variante du botnet Necurs stockant des domaines C2 sur Namecoin 2019 : Adresses IP C2 encodées dans des montants de Satoshis ; botnet Glupteba utilisant le champ OP_RETURN de Bitcoin Mi-2023 : Apparition d’EtherHiding sur Binance Smart Chain (BSC) par les opérateurs ClearFake Décembre 2023 : Botnet DDoS Smargaft actif sur BSC via smart contract C2 Fin 2024 : Acteurs iraniens liés au Ministère du Renseignement intégrant des données C2 dans des transactions Bitcoin Début 2025 : Agents nord-coréens renforçant leur campagne de faux entretiens d’embauche avec EtherHiding 🎯 Acteurs et techniques Corée du Nord – UNC5342 (DPRK) Utilisation de smart contracts sur blockchains publiques pour livrer des malwares à des développeurs crypto cherchant un emploi Technique de relay multi-chaînes : TRON et Aptos comme pointeurs redondants vers BSC où le payload est stocké Le malware déchiffre les instructions C2 depuis les données d’entrée de transactions BSC Déploiement de malwares voleurs de credentials pour drainer des actifs crypto Attribution confirmée via le même wallet déployeur BSC identifié par Google GTIG/Mandiant Iran – Ministère du Renseignement Écriture de données de routage C2 encodées dans des transactions Bitcoin via le champ OP_RETURN Utilisation d’une adresse Bitcoin historiquement liée à Satoshi Nakamoto comme point de lookup permanent Rotation d’infrastructure via de nouvelles transactions Bitcoin Attribution basée sur la famille de malware, la logique de décodage, le timing opérationnel et l’infrastructure C2 Cybercriminels russophones – MaaS sur Polygon Smart contracts sur Polygon utilisés comme résolveurs C2 Modèle Malware-as-a-Service (MaaS) avec panel opérateur en russe et abonnement Un wallet opérateur contrôle une flotte de contrats de stockage liés à différents clients/campagnes Liens avec des tokens frauduleux imitant des stablecoins, des campagnes de clipboard hijacking, et plus de 50 contrats résolveurs BSC quasi-identiques 🔧 Techniques BDD identifiées Transaction-based storage : C2 encodé dans des champs de transaction (OP_RETURN, calldata, memos) Contract-based storage : Smart contracts comme stockage résilient de pointeurs C2 (modèle EtherHiding) Phantom wallets : Adresses sans paire de clés privées contenant l’IP C2 dans les octets de l’adresse 📋 Type d’article Il s’agit d’une publication de recherche produite par Chainalysis, visant à documenter une nouvelle catégorie de techniques d’attaque (BDD), à attribuer l’activité à des acteurs spécifiques, et à promouvoir ses capacités d’analyse blockchain pour la détection et l’attribution de ces menaces. ...

🔍 Contexte Publié le 29 septembre 2026 par SafeDep (safedep.io), cet article présente une analyse technique détaillée d’une campagne de supply chain nommée DirtyBlanket. Neuf packages npm malveillants ont été publiés le même jour entre 06:05 et 06:38 UTC par le compte npm dirtyblanket. 📦 Packages malveillants Les neuf packages imitent des bibliothèques populaires : Express : xeprews, express-javascript, express-nodejs, exprdd, exprrdd, exptrdd, exptred, exptredd (version 5.2.1) React : react-nodejs (version 19.3.0) Tous partagent le même hook preinstall qui télécharge un script via l’Internet Archive (Wayback Machine) pour contourner les listes blanches réseau. ...

🗓️ Contexte Source : Malwarebytes ThreatLabs, publié le 29 septembre 2026 par Stefan Dasic. L’article analyse une campagne de fraude exploitant l’annonce de l’iPhone Duo (premier iPhone pliable d’Apple, annoncé le 9 septembre 2026) pour piéger des utilisateurs via une fausse page de précommande. 🎣 Le leurre : une fausse page Apple La page frauduleuse imite fidèlement le design d’Apple (logo, pied de page “Copyright © 2026 Apple Inc.”) et propose : ...

🔍 Contexte Publié le 25 septembre 2026 sur le blog de Wiz (wiz.io), cet article de recherche est co-signé par Gili Tikochinski et Shahar Dorfman. Il s’appuie sur une analyse des données de la plateforme NordStellar pour cartographier les types de credentials ciblés par les familles d’infostealers et évaluer leur impact potentiel sur les environnements cloud, code et IA. 🎯 Menace principale Les infostealers constituent un vecteur d’accès initial majeur pour compromettre les environnements cloud d’entreprise. Ils opèrent via un écosystème cybercriminel industrialisé reposant sur des plateformes Malware-as-a-Service (MaaS), des Initial Access Brokers (IABs) et des marketplaces souterrains. Trois familles dominent le paysage : ...

📅 Source : Microsoft Threat Intelligence Blog, publié le 28 septembre 2026. Cette publication présente une analyse technique approfondie de NeedyMantis, une famille de malware post-compromis modulaire découverte lors d’investigations liées à la compromission de la chaîne d’approvisionnement DAEMON Tools, précédemment rapportée par Kaspersky. 🎯 Contexte et attribution L’activité NeedyMantis remonte à au moins octobre 2025. Microsoft associe son utilisation à Storm-3069, un cluster d’activité lié à la compromission DAEMON Tools. L’activité est alignée avec des acteurs opérant depuis la Chine, sans attribution formelle à un acteur étatique chinois. Plusieurs opérateurs pourraient utiliser ce malware. ...

🎯 Contexte Article publié le 29 septembre 2026 sur le blog personnel du chercheur zonduu, décrivant une vulnérabilité critique découverte lors du live hacking event de Meta en mai 2026 à Taïwan. La cible était un service GraphRAG (IA d’assistance aux réunions) hébergé sur AWS ECS Fargate, dans un environnement de développement sous le domaine *.aws.metafb.cloud. 🔗 Chaîne d’exploitation Le chercheur a enchaîné quatre vulnérabilités distinctes : Clé API hardcodée dans un chunk JavaScript Next.js côté client (apprunner_fast_graphrag_fgr_k3y_8x4n9p2q...), donnant accès à l’ensemble de l’API GraphRAG Path traversal sur le champ filename de l’endpoint load_datasources, permettant une écriture arbitraire de fichiers (ex: ../../h1_rce_module4.py → site-packages) Path traversal sur le paramètre dataset de l’endpoint /visualize, permettant de pointer vers un répertoire arbitraire Désérialisation pickle non sécurisée (pickle.loads() sans vérification de signature) sur l’endpoint /visualize, chargeant un fichier graph_igraph_data.pklz contrôlé par l’attaquant 💥 Impact RCE en tant que root (uid=0(root) gid=0(root)) sur le conteneur ECS Fargate Accès en lecture/écriture à 3 287 sessions réelles de transcriptions de réunions IA stockées dans S3 et DynamoDB Exfiltration des credentials AWS ECS task role via le metadata service (169.254.170.2) Accès complet à 17 secrets dans AWS Secrets Manager, dont : fb_client_secret (OAuth Meta/Facebook) okta/client-secret (SSO) JWT_SECRET (forgerie de tokens) OPENAI_API_KEY Plusieurs paires de clés LiveKit (accès/enregistrement de rooms) Deux comptes de service GCP (dont un nommé sso-admin) Validation des accès GCP via gcloud auth print-access-token ⏱️ Timeline 19 avril : Rapport initial → évaluation en 1h30, PoC complet demandé le soir même 20 avril ~4h40 : Rotation des credentials déjà en cours 8 mai : Paiement de la prime : 525 USD (500 + 25 bonus) 📄 Type d’article Write-up technique détaillé de bug bounty (post-mortem offensif), dont le but est de documenter publiquement la chaîne d’exploitation, les preuves d’impact et le déroulement de la divulgation responsable. ...